SAP® Berechtigungskonzept Datenschutzbeauftragte

Ein SAP Berechtigungskonzept ist ein Regelwerk, das festlegt, welche Personen welche Aktionen in einem SAP-System durchführen dürfen. Es stellt sicher, dass Nutzende nur auf die Daten und Funktionen zugreifen, die sie für ihre Aufgaben benötigen (Need-to-know-Prinzip). Dies schützt sensible Unternehmensdaten, verhindert unberechtigte Zugriffe sowie Bedienfehler und gewährleistet die Einhaltung von Compliance-Vorgaben wie der DSGVO.

Eine Rolle ist eine Sammlung von Aufgaben und Transaktionen für eine bestimmte Job-Funktion, die im Profilgenerator (PFCG) gepflegt wird. Das Berechtigungsprofil hingegen enthält die technisch generierten Berechtigungen, die den tatsächlichen Zugriff steuern. Administrator:innen weisen den Nutzenden Rollen zu, woraufhin das System die zugehörigen Profile automatisch im Benutzerstammsatz einträgt.

Berechtigungsobjekte sind Schutzelemente im SAP-System, die den Zugriff auf bestimmte Aktionen oder Daten kontrollieren. Eine Berechtigung ist die konkrete Instanz eines Objekts mit definierten Werten, die einem Profil zugeordnet wird und den Zugriff erlaubt. Beispielsweise prüft das Objekt „F_BKPF_BUK“ den Zugriff auf Buchungskreise, während die Berechtigung den Zugriff auf den spezifischen Buchungskreis „1000“ gestattet.

Die SAP Benutzerverwaltung erfolgt zentral über Transaktionen wie SU01, in der für jede Person ein Benutzerstammsatz angelegt wird. Diesem Stammsatz werden Rollen zugewiesen, die die Berechtigungen für den Systemzugriff definieren. Zusätzlich werden hier sicherheitsrelevante Einstellungen wie Kennwortregeln, Gültigkeitszeiträume und der Benutzertyp festgelegt und administriert, um den Zugang zum System zu steuern.

Ein sicheres Konzept wird durch die Analyse von Geschäftsprozessen und die Definition von Rollen auf Basis minimaler Rechte (Need-to-Know) erstellt. Dabei ist die strikte Funktionstrennung (Segregation of Duties, SoD) entscheidend, um kritische Berechtigungskombinationen zu vermeiden. Die Umsetzung erfolgt durch die Zuweisung spezifischer Rollen statt weitreichender Einzelberechtigungen, was die Sicherheit und Nachvollziehbarkeit erhöht.

Der Profilgenerator (Transaktion PFCG) ist das zentrale Werkzeug zur Pflege von Berechtigungsrollen. Administrator:innen definieren darin ein Benutzermenü mit den für eine Aufgabe nötigen Transaktionen. Basierend auf diesen Transaktionen schlägt das System die passenden Berechtigungsobjekte vor, die dann nur noch mit den erlaubten Werten (z.B. für Werke oder Buchungskreise) ausgeprägt werden müssen.

Eine Sammelrolle fasst mehrere Einzelrollen zusammen, um die Administration für eine komplette Jobposition zu vereinfachen; sie selbst enthält keine Berechtigungen. Eine abgeleitete Rolle erbt Menü und Berechtigungen einer Master-Rolle und unterscheidet sich nur in den Werten für Organisationsebenen (z.B. Werk). Dies reduziert den Pflegeaufwand bei gleichen Aufgaben in verschiedenen Organisationseinheiten erheblich.

SAP-Berechtigungen lassen sich mit Standardwerkzeugen wie dem Benutzerinformationssystem (Transaktion SUIM) oder dem System-Trace (ST01/STAUTHTRACE) analysieren. Bei einem Berechtigungsfehler zeigt die Transaktion SU53 die letzte fehlgeschlagene Prüfung an. Diese Werkzeuge helfen dabei, herauszufinden, wer welche Rechte besitzt, kritische Berechtigungen zu identifizieren und die Einhaltung des Konzepts zu überwachen.

Falsch oder zu weitreichend vergebene Berechtigungen stellen ein erhebliches Sicherheitsrisiko dar. Sie ermöglichen Datenmissbrauch, Betrug und Industriespionage und können zu Verstößen gegen Datenschutzgesetze wie die DSGVO führen. Zudem steigt die Gefahr von unbeabsichtigten Fehlbedienungen, die zu inkonsistenten Daten führen und die Systemstabilität gefährden können, was hohe wirtschaftliche Schäden nach sich ziehen kann.

Kennwortregeln wie Mindestlänge oder Komplexität werden global über Systemparameter festgelegt. Sonderbenutzer wie SAP* und DDIC besitzen weitreichende Standardberechtigungen und müssen nach der Installation besonders geschützt werden. Dies geschieht typischerweise durch die sofortige Änderung der Standardpasswörter und die Deaktivierung des SAP*-Benutzers, um Missbrauch durch diese hochprivilegierten Konten zu verhindern.